Інструменти й релізиВплив: Високий
Oleksandr Kuzmenko, РедакторОпубліковано 5 хв читанняЗа участі AI · перевірено редактором
TL;DR
- Звіт #107757 у Claude Code фіксує передачу електронних адрес користувачів у HTTP-заголовках User-Agent під час вебпошуку.
- Сторонні сервери отримують ідентифікаційні дані без дозволу користувача, що призводить до шахрайських розсилок.
- Проблема зафіксована на macOS, а спільнота закликає повністю усунути передачу контактів із тестової обв'язки.
Ключові факти
- Ідентифікатор багу
- #107757
- Розкриті дані
- Електронна адреса в заголовку User-Agent
- Платформа звіту
- macOS (platform:macos)
- Теги компонентів
- area:security, area:tools
Несанкціонований витік ідентифікатора під час пошуку. Звіт про вразливість в офіційному репозиторії Claude Code за номером #107757 виявив, що CLI-інструмент передає особисту електронну адресу користувача в HTTP-заголовках запитів. Коли агент запускає автономний вебпошук і звертається до сторонніх сайтів, він додає електронну адресу користувача в заголовок User-Agent. Це відбувається у фоновому режимі без дозволу користувача.
Наслідки та реакція спільноти. Розкриття контактних даних наражає розробників на спам та шахрайські розсилки. Оскільки сервери фіксують стандартні метадані запитів, довільні сторонні сайти, до яких звертається Claude Code, отримують електронну адресу інженера. Користувачі macOS повідомляють про десятки шахрайських листів щодня. Автор звіту зазначив, що через втрату довіри до приватності переводить команду на альтернативні інструменти.
Заходи протидії та виправлення. Баг позначено тегами area:security, area:tools та platform:macos. Інженери наголошують, що передачу адрес потрібно повністю видалити з кодової бази агента, а не обмежувати налаштуваннями opt-out. До випуску виправлення розробникам рекомендується перевіряти вихідний мережевий трафік або використовувати проксі для очищення заголовка User-Agent.
Коли використовувати
- Під час локальної розробки, яка не виконує зовнішніх пошукових запитів в інтернет.
Коли НЕ варто
- Під час запуску Claude Code у середовищах, де неможливо контролювати чи фільтрувати вихідні HTTP-заголовки.
Що зробити сьогодні
- Перевірте вихідний мережевий трафік Claude Code під час пошукових операцій на наявність відкритого email.
- Налаштуйте проксі для перезапису або санітизації заголовків User-Agent у вихідних запитах CLI-агентів.
Назви кроків узяті з блоку «Що зробити сьогодні».
Назви кроків узяті з блоку «Що зробити сьогодні». Перевірте вихідний мережевий трафік Claude Code під час пошукових операцій на наявність відкритого email.. Налаштуйте проксі для перезапису або санітизації заголовків User-Agent у вихідних запитах CLI-агентів.
- Перевірте вихідний мережевий трафік Claude Code під час пошукових операцій на наявність відкритого email.
- Налаштуйте проксі для перезапису або санітизації заголовків User-Agent у вихідних запитах CLI-агентів.
Що каже спільнота
I receive dozens of scam emails per day because claude code divulged my email to arbitrary 3rd parties in the User-Agent request header while conducting web searches without my permission.